Anthropic 將 Claude Mythos 5 帶入企業保安掃描，設 3,500 萬美元開源安全基金

Anthropic 正逐步擴大 Claude Mythos 5 的使用範圍，但仍然未有把模型本身全面公開。公司宣布，Mythos 5 現在會支援 Claude Security 的企業程式碼安全掃描，並會整合到網絡安全合作夥伴的產品之中；另外亦會推出一項總額 3,500 萬美元的 Defender Advantage Fund，支援開源軟件安全工作。

今次安排的重點是「提供結果，而唔係開放模型」。防禦團隊可以收到漏洞發現及修補建議，但 Mythos 5 的直接、開放式使用權仍然受到限制。Anthropic 希望藉此保留模型在防禦方面的價值，同時減低相關能力被用來發掘及利用漏洞的風險。

Enterprise 客戶可以得到甚麼？

Claude Security 現時以公開 beta 形式向 Claude Enterprise 客戶提供。客戶可以將程式碼庫交由服務掃描，Mythos 5 會找出潛在漏洞，並為每項發現提供：

• Common Weakness Enumeration（CWE）分類；
• 信心評分及嚴重程度評級；
• 建議修補方案或改善方向。

目前公告沒有提到需要另購 Mythos 5 附加方案。Anthropic 表示，使用 Mythos 5 進行掃描會按照現有 Enterprise 計劃的標準 token 用量收費。

不過，Enterprise 用戶並不是因此取得 Mythos 5 的無限制存取權。模型會在 Claude Security 的掃描流程背後運行，最後只向用戶返回漏洞發現及建議修正方案。

AI 找到漏洞，仍然要由人作最後判斷

Claude Security 會提出修補建議，並不是一套可以完全自主處理漏洞的系統。安全工程師仍然需要按實際情況核實每項發現、重現問題、評估修補對整個程式碼庫的影響，然後經由團隊原有的工程流程批准部署。

現有公告支持「human-in-the-loop」（人為監督）的產品設計，但沒有表示所有客戶都必須採用同一套審批流程。換句話說，AI 可以協助找問題及起草修補方案，但測試、審核及正式上線的責任仍然在客戶團隊身上。

合作夥伴產品會採取同樣的輸出限制

Anthropic 表示，正與網絡安全技術及服務供應商合作，把 Mythos 5 帶入防禦團隊已經使用的產品之中。

目前公布的資料沒有列出完整合作夥伴名單，也沒有提供確實的推出時間表。公告所描述的是把 Mythos 5 整合到防禦工具，而不是向合作夥伴開放一個可以任意操作的公開模型端點。實際上，用戶預期會接觸到的是掃描結果、警報、漏洞報告及修補指引，而不是用於開放式網絡攻擊操作的新 API。

3,500 萬美元 Defender Advantage Fund 是甚麼？

新基金名為 Defender Advantage Fund，亦稱 0xDAF，會向協助改善開源軟件安全的組織提供總值 3,500 萬美元的 Claude credits。這些是模型使用額度，並不是現金資助。

Anthropic 列出的三個重點方向包括：

1. 修補開源項目的漏洞；
2. 自動化部分漏洞掃描及修補流程；
3. 試驗 Claude 在網絡安全方面的新應用。

截至目前，相關資料未有交代每個項目的額度、申請資格、申請日期或完整試點時間表。因此，單憑 3,500 萬美元這個總額，未能推斷具體資助安排。

Cyber Verification Program 如何配合？

Anthropic 同時擴大免費、需要申請的 Cyber Verification Program（CVP）。計劃主要面向正當防禦工作的專業人士，若其合法安全工作受到 Claude 網絡安全防護措施影響，可以申請調整 Claude Opus 及 Sonnet 的預設限制。

高風險網絡安全活動仍然會預設封鎖，而 CVP 亦不代表 Mythos 5 已經全面公開。按現有資料，Anthropic 採取的是兩條不同路線：一方面，透過 Claude Security 及合作夥伴工具，以受限制的方式提供 Mythos 5 功能；另一方面，讓經核實的專業人士就特定 Opus 及 Sonnet 防禦用途申請調整存取限制。

由 Project Glasswing 走向更廣泛的防禦部署

Project Glasswing 在 2026 年 4 月展開，原意是讓受審核的防禦團隊利用 Anthropic 的前沿網絡安全能力，在同類工具可能廣泛落入攻擊者手中之前，先協助保護關鍵軟件。Anthropic 在項目更新中表示，最初約 50 個合作夥伴使用 Claude Mythos Preview，合共找出超過 10,000 個高嚴重程度或重大嚴重程度漏洞。

Mythos 5 今次公布的安排，並不是放棄原有安全原則，而是改變能力的分發方式：

• Glasswing： 向經審核的防禦人員及參與組織提供有限度存取；
• Claude Security： 透過掃描工作流程，向更多 Enterprise 客戶開放；
• 合作夥伴產品： 將漏洞報告及修補輸出嵌入現有安全工具；
• 0xDAF： 以 Claude credits 支援開源安全工作；
• CVP： 為從事合法防禦工作的專業人士提供申請調整模型限制的渠道。

漏洞發現本身具有雙重用途：同一套系統既可以協助防禦者找出並修補問題，也可能降低攻擊者尋找可利用弱點的成本。Anthropic 的做法，是先把防禦結果更廣泛地交到企業及開源社群手上，同時把最強網絡安全能力的直接使用權繼續放在產品限制及身分核實之後。

公告確認了甚麼，又沒有確認甚麼？

目前可以確認的改動包括：Claude Security Enterprise 公開 beta、按標準 token 用量收費、每項發現附有安全分類及建議修補方案、計劃整合合作夥伴產品、推出 3,500 萬美元 Claude credits 基金，以及擴大 CVP。

但現有證據未能確認問題原先提到的所有 Project Glasswing 數字及例子，包括最高 1 億美元使用額度、400 萬美元捐款、約 200 個參與組織，以及 OpenBSD 和 FFmpeg 的特定漏洞發現。這些內容在目前資料中應視為未經核實。

最清晰的結論是：Anthropic 正把 Mythos 5 的防禦性輸出商業化，但並沒有把模型本身開放予一般使用者。企業及開源軟件維護者將有更多機會測試這套模型在實際保安工作上的價值，而 Mythos 5 最強、最可能被濫用的網絡安全能力，則仍然被收納在較窄的安全邊界之內。